ACN — Determinazione n. 379907/2025, modalità e specifiche di base per gli obblighi NIS (D.Lgs. 138/2024)

La determinazione è adottata dal Direttore generale dell'ACN ai sensi degli artt. 31, commi 1 e 2, 40, comma 5, lett. l), e 42, comma 1, lett. c), del D.Lgs. 138/2024 (decreto NIS), sentito il Tavolo per l'attuazione della disciplina NIS il 18 dicembre 2025, e stabilisce, in fase di prima applicazione, le modalità e le specifiche di base per gli obblighi degli artt. 23, 24, 25, 29 e 32 del decreto. Gli allegati 1 e 2 fissano le misure di sicurezza di base, a carico degli organi di amministrazione e direttivi e in materia di gestione dei rischi, rispettivamente per i soggetti importanti e per i soggetti essenziali; sono sviluppate secondo il Framework nazionale per la cybersecurity e la data protection (edizione 2025) e organizzate in funzioni, categorie, sottocategorie e requisiti. Gli allegati 3 e 4 descrivono gli incidenti significativi di base da notificare al CSIRT Italia. Le misure di sicurezza vanno adottate entro diciotto mesi e l'obbligo di notifica decorre entro nove mesi dalla ricezione della comunicazione di inserimento nell'elenco dei soggetti NIS. Sono previste regole per i gestori di registri e i fornitori di servizi di registrazione dei nomi di dominio e regimi transitori per gli operatori di servizi essenziali già identificati ai sensi del D.Lgs. 65/2018 e per gli operatori di telecomunicazioni, con soglie di durata e di utenti colpiti per gli incidenti. La determinazione aggiorna e sostituisce la determinazione ACN n. 164179 del 14 aprile 2025 e si applica dal 15 gennaio 2026. Con la determinazione n. 127434 del 13 aprile 2026 l'ACN ha fissato i termini per i soggetti inseriti nell'elenco NIS nel 2026: adozione delle misure di sicurezza di base entro il 31 luglio 2027 e notifica degli incidenti significativi a decorrere dal 1° gennaio 2027.

L’abstract descrive il contenuto dell’atto e non ne costituisce interpretazione; fa fede il testo pubblicato sulla fonte ufficiale. Le informazioni contenute nella presente scheda hanno finalità meramente informative e non costituiscono parere legale.